公共Wi-Fi环境下你的隐私有多危险？VPN如何保护你

周五傍晚，林薇拖着登机箱走进虹桥机场T2航站楼。距离登机还有两小时，她找了个靠窗的座位，顺手连上了“AirportFreeWiFi_5G”——没有密码，弹出一个广告页，点“同意”就能上网。她打开银行App查了笔转账，又登录公司邮箱回了封合同邮件，最后在购物网站下了单。整个过程行云流水，和在家连Wi-Fi没什么两样。

三天后，她收到银行风控短信：一笔境外消费被拦截。再过两天，同事问她：“你上周五发的合同附件怎么是个压缩包？里面是空的。”林薇这才意识到，那两小时里，她可能不是唯一一个在“看”自己手机屏幕的人。

那个看不见的“中间人”，正坐在你隔壁桌

公共Wi-Fi的危险，从来不在于“连上”这个动作本身，而在于数据从你的设备到路由器之间那段路。这段路在咖啡厅、机场、酒店大堂里是裸露的——无线电波在空气中传播，谁的天线够得着，谁就能截获。

场景一：假热点，真钓饵

张磊是个自由摄影师，常年在各地咖啡馆修图传片。他有套固定流程：坐下、点美式、连Wi-Fi、开热点给笔记本。有次在杭州一家网红咖啡店，他连上了一个叫“CafeFreeWiFi”的信号，页面跳转要求输入手机号获取验证码。他输了。十分钟后，手机开始收到各种注册验证码——有人正用他的号码批量注册账号。更糟的是，他当天登录的图库网站密码和手机号相同，三天后图库账号被盗，几十张未发布的商业片被挂到素材网站低价售卖。

那个“CafeFreeWiFi”根本不是店里的路由器，是隔壁桌一台开了热点的手机。攻击者不需要懂什么高深技术，一台笔记本、一个免费热点软件，就能让整间屋子的人排队把信息送上门。

场景二：同一网络下的“裸奔”

李萌是销售，出差住快捷酒店。晚上她用酒店Wi-Fi登录公司CRM系统录客户信息，顺手还登了个人网银还信用卡。她不知道的是，同一楼层住着个做渗透测试的住客——那人只是出于职业习惯扫了一遍局域网，发现酒店网络没有开启“客户端隔离”，所有设备互相可见。他用一个开源工具抓了半小时包，李萌的HTTP登录请求、未加密的Cookie、甚至部分表单内容全在抓包记录里躺着。

酒店Wi-Fi的“无密码”往往意味着“无加密”。很多公共网络连WPA2都没有，数据以明文形式在空气中飘。你输入的每一个字符，隔壁房间的网卡都能听见。

场景三：HTTPS不是万能盾

“我只看带小锁的网站不就行了？”这是最常见的误解。HTTPS确实加密了内容，但攻击者能做的事比你想的多。在公共Wi-Fi下，攻击者可以搞DNS劫持——你输入bank.com，他把你引到一个长得一模一样的假站，证书弹警告你点了“继续访问”；也可以做SSL剥离，把HTTPS降级成HTTP；还能通过流量分析推断你在访问什么类型的服务、停留多久、传输量多大。去年某安全团队在火车站做的实验显示，在伪造热点下，超过六成用户会忽略证书警告继续操作。

更隐蔽的是“邪恶双胞胎”攻击：攻击者架一个和商家同名同密码的Wi-Fi，你连上后所有流量先过他手，他再转发给真路由器。你上网一切正常，只是所有数据都多经过了一台陌生设备。

VPN到底在做什么——不是“加密”两个字那么简单

林薇后来在公司IT建议下装了VPN。她以为VPN就是个“加密开关”，其实它干的事更像在公共网络里挖了条专属隧道。

隧道：把“明信片”装进“信封”

没开VPN时，你发往路由器的数据像明信片——沿途每个经手人都能读。开了VPN，数据先被加密打包，再塞进一个外层信封，信封上只写VPN服务器地址。公共Wi-Fi的路由器只能看到“有人往某个IP发了一堆乱码”，看不到里面是银行密码还是猫咪视频。到了VPN服务器，信封拆开，数据解密，再转发到真正的目的地。整条路径上，公共网络那一段彻底变成盲区。

身份：你的IP不再是你的名片

李萌后来复盘发现，攻击者之所以盯上她，是因为她设备在局域网里暴露了主机名“LIMENG-PC”，还开着文件共享端口。VPN不只加密流量，还改变了出口IP。连上VPN后，酒店网络看到的只是一个加密连接，网站看到的则是VPN服务器的IP。攻击者没法通过IP反查她的位置、没法做针对性钓鱼、也没法在局域网里直接定位她的设备——因为她的流量根本不走局域网那套广播机制。

证书固定与DNS保护：堵住那些“小锁”的漏洞

靠谱的VPN客户端会做证书固定——它只认自己服务器的证书，中间人想插一脚伪造证书，连接直接断。同时VPN接管DNS解析，你输入域名后由VPN服务器来解析，公共Wi-Fi的DNS劫持就失效了。张磊后来用的VPN还带“网络锁定”功能：一旦VPN连接意外断开，设备立刻断网，防止流量在切换瞬间“裸奔”出去。

选VPN不是选口红，看颜色没用

林薇问IT同事：“随便下个免费VPN不就行了？”同事给她看了份报告：某应用商店排名前十的免费VPN里，有六款被检测出植入跟踪库，三款会向第三方出售用户浏览记录。免费VPN的商业模式往往就是“你用隐私换服务”——它确实加密了你到VPN服务器那段，但VPN服务器本身成了新的监听点。

看协议：OpenVPN和WireGuard是底线

老旧的PPTP协议早被证明可被破解，L2TP/IPSec也不够看。现在至少选OpenVPN（成熟稳定）或WireGuard（轻量快速）。如果某个VPN只提供“自有协议”且不肯说明细节，直接跳过。

看日志政策：别信口号，看审计

“我们不记录日志”这句话谁都会说。找那些经过独立第三方审计、明确公布无日志政策的服务商。有些VPN连注册都不需要邮箱，接受现金或加密货币支付——这不是为了干坏事，是为了让“无日志”这句话有技术基础。

看kill switch和分流

kill switch（网络锁定）是刚需。林薇现在设置的是“VPN断则全网断”，宁可上不了网也不让流量漏出去。分流功能则让她可以把公司内网走VPN、本地视频网站走直连，兼顾安全和速度。

那些VPN也救不了的操作

得说清楚：VPN不是万能药。你在公共Wi-Fi下主动把密码发给别人、在钓鱼页面手动输入验证码、把未加密的U盘插来插去——这些VPN管不了。它保护的是传输通道，不是你的判断力。

林薇现在出差的标准动作是：关掉“自动加入开放Wi-Fi”，手动连VPN后再开任何App，银行和邮箱只在VPN连接状态下操作，公共电脑上绝不登录重要账号。她手机里还留着那张机场照片——登机口屏幕显示“请勿在公共网络处理敏感信息”，以前她觉得是废话，现在觉得是提醒。

那个周五傍晚在机场，如果她先开了VPN再连Wi-Fi，隔壁桌那台开着热点的笔记本抓到的就只是一串加密乱码。她的银行密码不会出现在别人的抓包记录里，合同邮件也不会变成空压缩包。两小时的时间差，一条隧道的有无，隐私的边界就在那里。